事件概要

2020年7月3日推特上有移动安全人员披露一起拥有1w+下载量的Joker家族样本，其家族名源于其早期使用的C2域名，提取了其中的特征字符串Joker作为其家族名称，其主要的恶意行为是肆意给用户订阅各种收费SP服务、窃取用户隐私来进行收益，鉴于Joker是目前Google Play商店上最活跃的家族之一，所以我对其家族成员样本进行详细分析，披露其近期“激进”的发展态势。

威胁细节

Google Play传播

Google Play应用商店Pioneer SMS APP，2020-07-03依然提供下载安装(目前已下架)，并且其存活于Google Play商店期间，已经拥有10K+的安装次数。

样本信息

样本分析

Joker恶意家族采用动态加载的方式进行触发恶意行为，通过两次远程下载才将真正的恶意模块落地并执行起来。
第一次从https://rockmanpc.oss-us-east-1.aliyuncs.com/yellow/PioneerSMS.midi 地址下载一个包含Dex文件的压缩包，这还是一个Dropper文件。

这个Dropper文件的主要作用是从链接 https://rockmanpc.oss-us-east-1.aliyuncs.com/yellow/jiujiu.png 处下载一个包含classes.dex的压缩包，并且加载这个DEX文件并调用里面的方法com.antume.Cantin->buton，这个伪装成图片文件的压缩包才是真正的恶意模块。

这个恶意模块不断向 161.117.83.26/k3zo/B9MO 发送POST请求进行通信。

发送加密数据到C2并接受来自C2加密过的数据。

通讯数据采用了双重加密方式，一层自定义加解密再加上一层DES加解密，DES加解密用到的IV是(HEX值)3064333333343536，KEY用的是6662616533323734。

上传到C2的通信数据内容主要用来实现其筛选符合触发条件的手机，服务端C2根据获得的返回值，可以给不满足触发条件的手机下发一个返回不为0的error_code字段，用来控制这些手机不触发恶意行为。

向C2发送的数据字段简介：
字段|描述
-|-
serial|设备序列号或者App首次安装时间戳
iso|MCC+MNC代码 (SIM卡运营商国家代码和运营商网络代码)(IMSI)
os_version|SDK版本
pkg|App包名
mt|是否有监控收到短信的权限
mobile|移动数据是否开启，或者启用移动数据是否成功
sms|是否有发送短信的权限

反之，则对满足触发条件的手机下发返回其他字段的数据，从数据中提取键值为：device_id、app_id、p_u_u、r_d、s_r_c对应的值存放到名为Saurfang的SharedPreferences文件。接着从C2下发的数据解析出{pair: “<number>::<content>”}数据，向指定的<number>发送短信，内容为<content>。

提供给JavaScript(JS)调用API接口run方法，传入不同参数执行不同恶意功能：

上面是JS提供的接口，在这里通过从服务器返回的字段，解析出对应参数来执行对应的恶意功能。

该通信模块还会执行下载ELF文件并执行libtls_arm，来创建一个WebSocket链接和远程通信。

如果SIM不属于泰国AIS运营商的用户，就进行窃取短信内容并用HTTP请求发送到C2服务器上。

而一旦符合是泰国AIS运营商的用户，则会被其通过构造POST请求的方式强行订阅SP服务，造成被恶意扣费。

当用户存在访问网页的时候，Joker恶意家族还会窃取用户token、cookie等隐私数据。

另外，在对沃达丰SP、泰国DTAC通信公司相关SP服务进行请求时，会把其中的一些响应参数数据进行劫持替换修改成来自C2服务器的old、new的字段数据，实现劫持订阅病毒作者指定的SP服务。

劫持的方式通过替换下面页面的页面数据让用户发送短信到SP服务商，但是受益者就变成了病毒作者。

影响分析

Joker(又称Bread)家族最早于2016年12月被捕捉到，截至目前，该家族已扩展到13000+个样本。

除了之前在野样本，近期Joker家族似乎将影响目标增加锁定到了Google Play商店，这是6月份捕捉到的Joker家族样本，分别拥有100万+和50万+的下载量。

在我们进行编写报告期间，国外安全人员又发现GooglePlay上新的Joker恶意家族存活应用。这样的披露基本上每天都会有，从这些应用对应的下载量可窥见该家族的影响面较广。

我们截取2020年3月份至今在Google Play上被披露的一些Joker家族成员，数量庞大的家族成员以及惊人的下载量让Joker家族成为今年Google Play商店上最热门的家族之一。

安全建议

即使非常安全的Google Play商店，也有可能被病毒木马开发者当作其中的一个目标，以实现其木马的扩散传播，所以为了广大用户的安全考虑建议：

• 不要使用小众APP。

• 下载应用认准各大应用商店或者去大厂APP官网进行下载。

• 关注安全厂商安全新闻，一旦发现被披露的木马APP出现在自己手机上，及时联系专业安全人员进行处理。
  # IOCs

参考

https://security.googleblog.com/2020/01/pha-family-highlights-bread-and-friends.html+
https://twitter.com/bl4ckh0l3z/status/1278752357883543552
https://securelist.com/wap-billing-trojan-clickers-on-rise/81576/
https://www.mcafee.com/blogs/other-blogs/mcafee-labs/asiahitgroup-gang-again-sneaks-billing-fraud-apps-onto-google-play/
https://www.freebuf.com/articles/terminal/133118.html
https://zh.wikipedia.org/wiki/%E6%9C%8D%E5%8A%A1%E6%8F%90%E4%BE%9B%E8%80%85
https://medium.com/csis-techblog/analysis-of-joker-a-spy-premium-subscription-bot-on-googleplay-9ad24f044451

来源：【https://xz.aliyun.com/】，感谢【yong夜】

原文始发于微信公众号（衡阳信安）：“激进”的Joker家族木马